Uma nova técnica de ataque batizada de FROST está chamando a atenção da comunidade de segurança por um motivo incômodo: ela permite que sites infiram atividade no seu computador inteiro a partir do comportamento do SSD, usando apenas recursos legítimos do navegador. O método não instala malware, não exige extensões e não quebra o isolamento do navegador, mas amplia os riscos de rastreamento online ao explorar variações de tempo no armazenamento como uma impressão digital do sistema.
O que é a técnica FROST e como ela expõe o SSD pelo navegador
FROST significa, na sigla em inglês, “Impressão Digital Remota usando Temporização SSD baseada em OPFS”. Trata-se de um ataque de canal lateral: em vez de roubar dados diretamente, ele observa sinais indiretos gerados pelo sistema. Neste caso, o sinal vem da disputa pelo acesso ao SSD. Quando vários programas — incluindo o próprio navegador — acessam o mesmo dispositivo de armazenamento, pequenas diferenças de tempo surgem. Um site malicioso pode medir essas variações executando JavaScript que manipula o Sistema de Arquivos Privados de Origem (OPFS).
O OPFS é um recurso que dá a cada site uma área isolada para salvar dados localmente, sem precisar de permissões especiais. Os pesquisadores demonstraram que é possível usar essa área como sonda: ao criar um arquivo grande dentro do OPFS e medir o tempo de leitura e escrita, o código consegue detectar quando outros aplicativos ou abas do navegador estão usando o SSD. Essa é a primeira exploração conhecida do OPFS para vazar informações por JavaScript no navegador.
O que um site pode descobrir com o FROST
O ataque não lê arquivos pessoais, não acessa câmera, microfone ou histórico. Entretanto, ele permite identificar quais sites e aplicações estão ativos no sistema no momento da medição. Os autores também demonstraram que o mesmo mecanismo pode criar um canal de comunicação entre páginas — uma forma de duas abas trocarem dados pela disputa pelo SSD sem usar rede ou armazenamento compartilhado. Isso amplia o cenário de rastreamento cross-site, já que um anunciante ou serviço de analytics poderia, em tese, inferir se o usuário está com um banco ou um editor de fotos aberto ao mesmo tempo que navega em outra página.
A descoberta conversa com uma mudança estrutural na internet. Navegadores evoluíram de simples visualizadores de documentos para plataformas complexas que executam aplicações sofisticadas — suítes de escritório, editores de foto e vídeo, ambientes de desenvolvimento integrados. Esse avanço trouxe conveniência, mas também aumentou a superfície de exposição. Um ataque que explora a própria infraestrutura de armazenamento local do navegador mostra como sinais mínimos ainda podem contar histórias demais.
Limitações práticas reduzem o risco imediato
Apesar da engenhosidade, o FROST tem barreiras concretas. As medições exigem um arquivo grande no OPFS, o que pode consumir espaço perceptível no SSD. Usuários que acompanham o armazenamento disponível podem notar um uso estranho de disco. O método também depende de a atividade monitorada ocorrer no mesmo SSD onde o navegador armazena os dados do OPFS. Em sistemas com múltiplos discos — por exemplo, um SSD separado para aplicativos e outro para o sistema — a eficácia cai. Além disso, o ataque funciona melhor para rastrear sites e aplicações web, já que os arquivos OPFS ficam no local padrão do navegador. Apps instalados nativamente podem usar discos separados, reduzindo a margem de detecção.
Como os navegadores podem mitigar o problema
Os pesquisadores sugerem três frentes de mitigação: limitar o armazenamento disponível no OPFS, reduzir a precisão das medições de tempo no JavaScript e alertar o usuário quando um site guarda volumes grandes de dados localmente. Essas medidas tornariam o ataque mais difícil ou inviável na prática.
O grupo reportou os achados a Google, Mozilla e Apple antes da publicação. A equipe do Chromium afirmou que não considera ataques de fingerprinting como vulnerabilidades de segurança, o que indica que uma correção no navegador pode não ser prioridade. A Apple avaliou o ataque como fora de escopo, mas sinalizou que pode adotar alguma mitigação no futuro. A Mozilla reconheceu os achados, mas ainda não havia implementado correções até o momento da publicação.
Para o usuário, as recomendações práticas são as mesmas de sempre: evitar sites desconhecidos, fazer limpeza periódica dos dados armazenados pelo navegador e desconfiar de páginas que pedem grandes permissões de armazenamento sem justificativa clara. O ataque não expõe arquivos pessoais, mas prova que mesmo os sinais mais sutis do hardware podem se transformar em uma poderosa ferramenta de vigilância digital.